México, Brasil e Colômbia sob ataques

Atualização 9 de setembro de 2026: Foram acrescentados novos detalhes sobre a campanha de Gambling Goblin no Brasil, com vítimas identificadas pela SecurityLab LATAM e precisão sobre o uso de servidores Apache como proxy. Também foi reforçado que a rede de sites .gov.br comprometidos sustenta uma manipulação de SEO com alcance global.

Unit 42 relatou duas campanhas ativas contra organizações na América Latina. Uma mirou transporte, ministérios federais e serviços municipais de água no México e no Equador. A outra se concentrou no setor financeiro do Brasil. Em paralelo, outras coberturas descreveram a atividade de Blind Eagle na Colômbia e de Gambling Goblin sobre sites públicos brasileiros.

O que a Unit 42 detectou no México, no Equador e no Brasil?

A Unit 42 identificou uma campanha contra o setor de transporte no México, com impacto adicional sobre ministérios do governo federal mexicano e uma empresa municipal de água no Equador, além de uma campanha financeira no Brasil. Internamente, a empresa atribuiu o primeiro caso ao cluster CL-CRI-1131 e o segundo ao CL-CRI-1163.

No caso do CL-CRI-1131, a Unit 42 descreveu o uso de técnicas living-off-the-land, scripts em lote para manipulação e exfiltração de dados, e o NextChat hospedado na infraestrutura operacional dos atacantes. A CSA ampliou a cobertura e afirmou que o conjunto de alvos não se limita a um único vertical, já que envolve infraestrutura crítica e administração pública.

No CL-CRI-1163, a Unit 42 apontou RATs personalizados e ferramentas de tunelamento, incluindo um proxy SOCKS5 baseado em Go. A mesma cobertura indicou que, em fevereiro de 2026, os atacantes obtiveram acesso inicial por meio de um anexo de currículo em um e-mail de phishing. A CSA acrescentou que esse proxy SOCKS5 foi versionado e recompilado pelo menos em nove iterações, o que sugere manutenção ativa do conjunto de ferramentas e uma campanha prolongada contra o setor financeiro brasileiro.

Como operavam os clusters CL-CRI-1131 e CL-CRI-1163?

Os dois clusters mostram uso contínuo de ferramentas nativas do sistema, scripts iterativos e componentes personalizados para persistência, exfiltração e túneis de comunicação. A CSA também indicou que ambos os operadores usaram de forma recorrente interfaces próprias do NextChat para consultar LLMs comerciais como Claude e GPT-4.1, com fins operacionais que incluíram troubleshooting de exploits e geração iterativa de scripts de exfiltração.

A SocDefenders.ai também descreveu o CL-CRI-1131 e o CL-CRI-1163 como campanhas ativas desde pelo menos fevereiro de 2026, e destacou a combinação de LotL, batch scripting e malware personalizado, entre eles o proxy SOCKS5 em Go para tunelamento de tráfego. A Risky Business resumiu, em seu boletim, a campanha no México como uma atividade ativa que afetou uma organização de transporte, ministérios federais e serviços municipais de água no México e no Equador.

A SocDefenders.ai acrescentou novos indicadores de comprometimento para o CL-CRI-1131, entre eles os domínios m-doxa-apodo.duckdns.org, m-doxa-geo.duckdns.org e m-doxa-intel.duckdns.org, a URL hxxp://167.148.195[.]53:8888/socktz_v9.exe e vários hashes SHA-256 de binários maliciosos ligados ao proxy SOCKS5.

O que aconteceu com o Blind Eagle na Colômbia?

A LevelBlue SpiderLabs publicou uma análise de infraestrutura de carga maliciosa ligada ao Blind Eagle, também identificado como APT-C-36, na Colômbia. A cobertura falou em iscas de notificação judicial e em alvos contra entidades governamentais colombianas.

A Security Arsenal e o OffSeq Threat Radar acrescentaram que o ator distribuía loaders e payloads RAT via GitHub, com uso de AsyncRAT, DcRat, Remcos e XWorm. O OffSeq detalhou e-mails de phishing com iscas de notificações judiciais e multas de trânsito, além de arquivos compactados protegidos por senha. O DeafNews informou ainda que a conta de GitHub "cabeto850128" e os repositórios "comicsam" e "jacobo" eram usados como staging de loaders em AutoIt, enquanto uma pasta local chamada "Rats" continha builds dessas mesmas famílias.

Como o Gambling Goblin usou sites brasileiros?

A Check Point Research informou que o Gambling Goblin, um grupo de fala chinesa ligado ao cluster Earth Berberoka, transformou sites comprometidos do governo e da educação do Brasil em infraestrutura para uma campanha contínua de fraude SEO desde meados de 2025. A cobertura indicou que o grupo inseriu módulos maliciosos em servidores Apache de órgãos governamentais e educacionais, e redirecionava o tráfego legítimo para páginas de apostas e phishing, mantendo a aparência de navegação sob o mesmo domínio.

A SecurityLab LATAM relatou que o Gambling Goblin comprometeu servidores de agências e instituições de ensino brasileiras, com vítimas que incluíram um ministério federal, uma agência estadual, uma assembleia legislativa, órgãos de controle, municípios e uma empresa pública de serviços. A cobertura do The Arabian Post, da Check Point Research e da CISOai acrescentou que o grupo instala módulos maliciosos em servidores Apache de sites governamentais e educacionais brasileiros para atuar como proxy, manter visível a URL legítima .gov.br e redirecionar de forma seletiva usuários e crawlers para páginas de apostas e phishing.

A Infosecurity Magazine informou que as organizações comprometidas incluíam órgãos federais, estaduais e municipais, além de uma agência pública nacional, uma assembleia legislativa estadual, tribunais de contas e uma empresa estatal de serviços públicos. O comunicado da Check Point no Japão acrescentou que as páginas de phishing se passam por lojas de aplicativos como Google Play, Microsoft Store e Amazon, com versões em português brasileiro, vietnamita, espanhol e inglês. A Nivel4 afirmou que a campanha está ativa desde meados de 2025, busca sequestrar tráfego e manipular posicionamento em buscadores em larga escala, e usa cadeias de redirecionamento entre domínios comprometidos, muitos deles governamentais.

A Check Point Research também destacou que a manipulação de SEO do Gambling Goblin é contínua e global. Segundo essa cobertura, os sites brasileiros comprometidos funcionam como infraestrutura central de uma rede de proxies que beneficia campanhas de apostas e phishing voltadas a usuários fora do Brasil, aproveitando a reputação internacional dos domínios .gov.br.